🪟 Windows: RoguePlanet без патча + "bone shattering drop" 14 июля. Что делать сейчас.

Коллеги, неделя перед следующим Patch Tuesday — самый острый момент в истории с Nightmare Eclipse.

Nightmare Eclipse публично анонсировал крупное раскрытие на 14 июля 2026 — дату следующего Patch Tuesday Microsoft — предупредив что релиз "переломает кости в тот день". Изнурительная переработка RoguePlanet привела к признанию что июльский пакет может оказаться не таким масштабным как планировалось. Тем не менее дата 14 июля официально не отменена, и команды безопасности должны рассматривать её как активный горизонт угрозы.

Что актуально прямо сейчас:

RoguePlanet (CVE-2026-50656) — race condition в Defender, даёт SYSTEM-шелл на полностью пропатченных Windows 10 и 11. Microsoft не указала когда ожидается патч. Исследователь отметил что "не видел ни одной попытки детектирования или блокировки PoC через сигнатуры которая была бы эффективной — небольшие изменения в PoC полностью обходят mitigation-ы. Единственное что можно реально сделать — ждать патча от Microsoft."

Также существует GreatXML — восьмой эксплойт серии, машины уязвимы если ранее запускали Defender Offline Scan или могут загрузиться в WinRE в Offline Scan State.

# 1. Проверяем статус июньских патчей:
Get-HotFix | Where-Object {$_.HotFixID -in @("KB5094126","KB5094127")} |
    Select-Object HotFixID, InstalledOn
# KB5094126 = Windows 11, KB5094127 = Windows 10 LTSC/ESU

# 2. Обновляем Defender Engine (может прийти до PT):
Update-MpSignature -UpdateSource MicrosoftUpdateServer
Get-MpComputerStatus | Select-Object AMEngineVersion
# Следим за обновлениями выше 1.1.26060.x

# 3. Единственная реальная защита от RoguePlanet — Application Control:
# Проверяем статус WDAC:
Get-CIPolicy -FilePath "$env:windir\System32\CodeIntegrity\SIPolicy.p7b"

# Или через Intune: Endpoint Security -> App Control for Business
# ThreatLocker, AppLocker в deny-by-default режиме также блокируют

# 4. Мониторинг поведенческих индикаторов RoguePlanet:
# Ищем необычное создание VSS shadow copies + wermgr.exe:
Get-WinEvent -LogName System |
    Where-Object {$_.Id -eq 8194 -and  # VSS событие
        $_.TimeCreated -gt (Get-Date).AddDays(-1)} |
    Select-Object TimeCreated, Message | Format-List

# 5. Готовимся к 14 июля:
# Снапшот DC перед Patch Tuesday (как всегда)
# Тестовое окружение готово к быстрому развёртыванию
# Incident response team уведомлена о возможном hot-disclosure

Среднее время от эксплойта до использования в атаках составляло пять дней в 2026 году — работающий proof-of-concept опубликован публично, и этот таймлайн начался не когда присвоили CVE или выпустили патч, а в момент публикации.

Итог: 14 июля — следующая Patch Tuesday и возможный день новых раскрытий. До него — Application Control, обновлённый Defender, мониторинг VSS/wermgr. После — патчить в тот же день.

#windows #defender #rogueplanet #nightmare_eclipse #patchtuesday #sysadmin #admin_future